VMware Engine-Sicherheit

Geteilte Verantwortung

Google Cloud VMware Engine hat ein Modell der geteilten Verantwortung für die Sicherheit. Vertrauenswürdige Sicherheit in der Cloud wird durch die gemeinsamen Verantwortlichkeiten von Kunden und Google als Dienstanbieter erzielt. Diese Verantwortlichkeit erhöht die Sicherheit und vermeidet Single Points of Failure.

Dedizierte Hardware

Als Teil des VMware Engine-Dienstes erhalten alle Kunden dedizierte Bare-Metal-Hosts mit lokalen angehängten Laufwerken, die von anderer Hardware isoliert sind. Ein ESXi-Hypervisor mit vSAN wird auf jedem Knoten ausgeführt. Die Knoten werden über kundenspezifische VMware vCenter und NSX verwaltet. Wenn Sie keine Hardware zwischen Mandanten freigeben, erhalten Sie eine zusätzliche Isolationsschicht sowie einen Schutz.

Datensicherheit

Kunden behalten die Kontrolle über ihre Daten. Die Verantwortung für Kundendaten ist für den Kunden verantwortlich.

Datenschutz für inaktive Daten und für die Übertragung innerhalb interner Netzwerke

Inaktive Daten in der privaten Cloud-Umgebung können mit der vSAN-Softwareverschlüsselung verschlüsselt werden. Die vSAN-Verschlüsselung nutzt externe Schlüsselverwaltungslösungen zum Speichern von Verschlüsselungsschlüsseln.

VMware Engine ermöglicht die standardmäßige Verschlüsselung inaktiver vSAN-Daten für alle neu bereitgestellten privaten Clouds. Die Schlüsselverwaltungsinfrastruktur wird von Google als Teil des Dienstes verwaltet. Weitere Informationen zum Standardverschlüsselungsmodell finden Sie unter Informationen zur vSAN-Verschlüsselung.

Wenn der KMS von Nutzern verwaltet werden muss, können Sie optional eine externe Schlüsselverwaltungsinfrastruktur bereitstellen und in vCenter als Schlüsselanbieter konfigurieren. Eine Liste validierter KMS-Anbieter finden Sie unter Unterstützte Anbieter.

Bei Daten während der Übertragung gehen wir davon aus, dass Anwendungen ihre Netzwerkkommunikation innerhalb der internen Netzwerksegmente verschlüsseln. vSphere unterstützt die Verschlüsselung von Daten bei der Übertragung von vMotion-Traffic.

Datenschutz für Daten, die durch öffentliche Netzwerke geleitet werden müssen

Zum Schutz von Daten, die über öffentliche Netzwerke übertragen werden, können Sie IPsec- und SSL-VPN-Tunnel für Ihre privaten Clouds erstellen. Es werden gängige Verschlüsselungsmethoden unterstützt, einschließlich 128-Byte und 256-Byte-AES. Bei der Übertragung werden Daten, einschließlich Authentifizierung, Administratorzugriff und Kundendaten, mit standardmäßigen Verschlüsselungsverfahren (SSH, TLS 1.2 und Secure RDP) verschlüsselt. Zur Übertragung von vertraulichen Informationen werden die Standardverschlüsselungsmechanismen verwendet.

Sichere Beseitigung

Wenn Ihr Dienst abläuft oder gekündigt wird, sind Sie dafür verantwortlich, Ihre Daten zu entfernen oder zu löschen. Google arbeitet mit Ihnen zusammen, um Kundendaten gemäß der Kundenvereinbarung zu löschen oder zurückzugeben, es sei denn, Google ist gesetzlich dazu verpflichtet, einige oder alle personenbezogenen Daten aufzubewahren. Falls erforderlich, werden die Daten von Google archiviert und es werden angemessene Maßnahmen ergriffen, um die weitere Verarbeitung von Kundendaten zu verhindern.

Speicherort der Daten

Die Anwendungsdaten befinden sich in der Region, die Sie bei der Erstellung der privaten Cloud ausgewählt haben. Der Dienst ändert den Standort der Daten nicht, ohne dass eine bestimmte Kundenaktion oder Trigger erforderlich ist (z. B. vom Nutzer konfigurierte Replikation in eine private Cloud in einer anderen Google Cloud-Region). Wenn Ihr Anwendungsfall jedoch erfordert, können Sie Ihre Arbeitslasten regionenübergreifend bereitstellen sowie die Replikation und die Datenmigration zwischen Regionen konfigurieren.

Datensicherungen

VMware Engine sichert oder archiviert keine Anwendungsdaten von Kunden, die sich in virtuellen VMware-Maschinen befinden. VMware Engine sichert regelmäßig die vCenter- und NSX-Konfiguration. Vor der Sicherung werden alle Daten auf dem Quellverwaltungsserver (z. B. vCenter) mit VMware-APIs verschlüsselt. Die verschlüsselten Sicherungsdaten werden in Cloud Storage-Buckets übertragen und gespeichert.

Netzwerksicherheit

Google Cloud VMware Engine basiert auf Netzwerksicherheitsebenen.

Edge-Sicherheit

Der Google Cloud VMware Engine-Dienst wird in Google Cloud gemäß der grundlegenden Netzwerksicherheit von Google Cloud ausgeführt. Dies gilt sowohl für die VMware-Anwendung als auch für die dedizierte und private VMware-Umgebung. Google Cloud bietet integrierten Schutz vor DDoS-Angriffen (Distributed Denial-of-Service). VMware Engine folgt der Strategie der gestaffelten Sicherheitsebenen, um das Edge-Netzwerk zu schützen und dabei Sicherheitskontrollen wie Firewallregeln und NAT implementiert.

Segmentierung

VMware Engine hat logisch logische Layer-2-Netzwerke, die den Zugriff auf Ihre eigenen internen Netzwerke in Ihrer privaten Cloud-Umgebung einschränken. Mit einer Firewall können Sie Ihre privaten Cloud-Netzwerke zusätzlich schützen. Mit dem VMware-Portal von Compute Engine können Sie Regeln für den EW- und NS-Netzwerkverkehrssteuerung für den gesamten Netzwerkverkehr definieren, einschließlich unternehmensinterner Cloud-Traffic, interregionaler Cloud-Traffic, allgemeiner Traffic zum Internet und Netzwerktraffic zur lokalen Umgebung.

Sicherheitslücken und Patchverwaltung

Google ist für regelmäßige Sicherheitspatches der verwalteten VMware-Software (ESXi, vCenter und NSX) verantwortlich.

Identitäts- und Zugriffsverwaltung

Sie können sich mit SSO über das VMware Engine-Portal bei Google Cloud authentifizieren. Mit IAM-Rollen und -Berechtigungen gewähren Sie Nutzern Zugriff auf das VMware-Portal.

In der Standardeinstellung erstellt VMware Engine ein Nutzerkonto für Sie in der lokalen vCenter-Domain der privaten Cloud. Sie können neue lokale Nutzer hinzufügen oder vCenter für eine vorhandene Identitätsquelle konfigurieren. Fügen Sie dazu entweder eine vorhandene lokale Identitätsquelle oder eine neue Identitätsquelle in der privaten Cloud hinzu.

Der Standardnutzer verfügt über ausreichende Berechtigungen, um in der privaten Cloud die täglichen VCenter-Vorgänge von vCenter auszuführen. Er hat jedoch keinen vollständigen Administratorzugriff auf vCenter. Wenn vorübergehend Administratorzugriff erforderlich ist, können Sie Ihre Berechtigungen für einen begrenzten Zeitraum erhöhen, während Sie die Administratoraufgaben ausführen.

Einige Drittanbieter-Tools und -Produkte, die mit Ihrer privaten Cloud verwendet werden, erfordern unter Umständen einen Nutzer mit Administratorberechtigungen in vSphere. Wenn Sie eine private Cloud erstellen, erstellt VMware Engine Lösungsnutzerkonten mit Administratorberechtigungen, die Sie mit Tools und Produkten von Drittanbietern verwenden können.